第一阶段：《K8S入门》课堂文档

讲师：互联网老辛

官方网站： www.geekyunwei.com

第一阶段：《Kubernetes入门》

说明：

强烈建议学习课堂视频，更多细节都在里面！

第2章：Kubernetes核心概念

Kubernetes是Google在2014年开源的一个容器集群管理系统，Kubernetes简称K8S。
Kubernetes用于容器化应用程序的部署，扩展和管理，目标是让部署容器化应用简单高效。

官方网站：http://www.kubernetes.io

2.1 Kubernetes集群架构与组件

Master角色

kube-apiserver

Kubernetes API，集群的统一入口，各组件协调者，以RESTful API提供接口服务，所有对象资源的增删改查和监听操作都交给APIServer处理后再提交给Etcd存储。

kube-controller-manager

处理集群中常规后台任务，一个资源对应一个控制器，而ControllerManager就是负责管理这些控制器的。

kube-scheduler

根据调度算法为新创建的Pod选择一个Node节点，可以任意部署,可以部署在同一个节点上,也可以部署在不同的节点上。

etcd

分布式键值存储系统。用于保存集群状态数据，比如Pod、Service等对象信息。

Worker Node角色

kubelet

kubelet是Master在Node节点上的Agent，管理本机运行容器的生命周期，比如创建容器、Pod挂载数据卷、下载secret、获取容器和节点状态等工作。kubelet将每个Pod转换成一组容器。

kube-proxy

在Node节点上实现Pod网络代理，维护网络规则和四层负载均衡工作。

docker或rocket

容器引擎，运行容器。

2.2 Kubernetes基本概念

Pod

最小部署单元
一组容器的集合
一个Pod中的容器共享网络命名空间
Pod是短暂的

Controllers

Deployment ：无状态应用部署
StatefulSet ：有状态应用部署
DaemonSet ：确保所有Node运行同一个Pod
Job ：一次性任务
Cronjob ：定时任务

控制器是更高级层次对象，用于部署和管理Pod。

Service

防止Pod失联
定义一组Pod的访问策略

Label ： 标签，附加到某个资源上，用于关联对象、查询和筛选

Namespaces ： 命名空间，将对象逻辑上隔离

第3章：快速部署一个Kubernetes集群

kubeadm是官方社区推出的一个用于快速部署kubernetes集群的工具。

这个工具能通过两条指令完成一个kubernetes集群的部署：

# 创建一个 Master 节点
$ kubeadm init# 将一个 Node 节点加入到当前集群中
$ kubeadm join <Master节点的IP和端口 >

3.1 安装要求

在开始之前，部署Kubernetes集群机器需要满足以下几个条件：

一台或多台机器，操作系统 CentOS7.x-86_x64
硬件配置：2GB或更多RAM，2个CPU或更多CPU，硬盘30GB或更多
集群中所有机器之间网络互通
可以访问外网，需要拉取镜像
禁止swap分区

3.2 准备环境

kubernetesæ¶æå¾

角色	IP
k8s-master	192.168.124.61
k8s-node1	192.168.124.62
k8s-node2	192.168.124.63

关闭防火墙：
$ systemctl stop firewalld
$ systemctl disable firewalld关闭selinux：
$ sed -i 's/enforcing/disabled/' /etc/selinux/config  # 永久
$ setenforce 0  # 临时关闭swap：
$ swapoff -a  # 临时
$ vim /etc/fstab  # 永久设置主机名：
$ hostnamectl set-hostname <hostname>在master添加hosts：
$ cat >> /etc/hosts << EOF
192.168.124.61 k8s-master
192.168.124.62 k8s-node1
192.168.124.63 k8s-node2
EOF将桥接的IPv4流量传递到iptables的链：
$ cat > /etc/sysctl.d/k8s.conf << EOF
net.bridge.bridge-nf-call-ip6tables = 1
net.bridge.bridge-nf-call-iptables = 1
EOF
$ sysctl --system  # 生效时间同步：
$ yum install ntpdate -y
$ ntpdate time.windows.com

3.4 所有节点安装Docker/kubeadm/kubelet

Kubernetes默认CRI（容器运行时）为Docker，因此先安装Docker。

1、安装Docker

$ wget https://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo -O /etc/yum.repos.d/docker-ce.repo
$ yum -y install docker-ce-18.06.1.ce-3.el7
$ systemctl enable docker && systemctl start docker
$ docker --version
Docker version 18.06.1-ce, build e68fc7a

# cat > /etc/docker/daemon.json << EOF
{"registry-mirrors": ["https://ywrd8tun.mirror.aliyuncs.com"]
}
EOF

2、添加阿里云YUM软件源

$ cat > /etc/yum.repos.d/kubernetes.repo << EOF
[kubernetes]
name=Kubernetes
baseurl=https://mirrors.aliyun.com/kubernetes/yum/repos/kubernetes-el7-x86_64
enabled=1
gpgcheck=0
repo_gpgcheck=0
gpgkey=https://mirrors.aliyun.com/kubernetes/yum/doc/yum-key.gpg https://mirrors.aliyun.com/kubernetes/yum/doc/rpm-package-key.gpg
EOF

3、安装kubeadm，kubelet和kubectl

由于版本更新频繁，这里指定版本号部署：

$ yum install -y kubelet-1.17.0 kubeadm-1.17.0 kubectl-1.17.0
$ systemctl enable kubelet

3.5 部署Kubernetes Master

cpu 确保是2核

在192.168.124.61（Master）执行。

$ kubeadm init \--apiserver-advertise-address=192.168.124.61 \--image-repository registry.aliyuncs.com/google_containers \--kubernetes-version v1.17.0 \--service-cidr=10.96.0.0/12 \--pod-network-cidr=10.244.0.0/16

由于默认拉取镜像地址k8s.gcr.io国内无法访问，这里指定阿里云镜像仓库地址。

kubeadm init --apiserver-advertise-address=192.168.1.17 --image-repository registry.aliyuncs.com/google_containers --kubernetes-version v1.17.0 --service-cidr=10.96.0.0/12 --pod-network-cidr=10.244.0.0/16

使用kubectl工具：

mkdir -p $HOME/.kube
sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
sudo chown $(id -u):$(id -g) $HOME/.kube/config
$ kubectl get nodes

3.6 安装Pod网络插件（CNI）

$ kubectl apply -f https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml

确保能够访问到quay.io这个registery。

如果Pod镜像下载失败，可以改成这个镜像地址：lizhenliang/flannel:v0.11.0-amd64

3.7 加入Kubernetes Node

在192.168.124.62/63（Node）执行。

向集群添加新节点，执行在kubeadm init输出的kubeadm join命令：

注意：这条命令在你安装完k8s-master后就会看到

kubeadm join 192.168.124.61:6443 --token g0l3ao.99flotdlufrn3zff \--discovery-token-ca-cert-hash sha256:afbeac5a4ca581ca0701cf93910c893dd46e309a7577baa28400b705b6d1c437

默认token有效期为24小时，当过期之后，该token就不可用了。这时就需要重新创建token，操作如下：

# kubeadm token create
# kubeadm token list
# openssl x509 -pubkey -in /etc/kubernetes/pki/ca.crt | openssl rsa -pubin -outform der 2>/dev/null | openssl dgst -sha256 -hex | sed 's/^.* //'
63bca849e0e01691ae14eab449570284f0c3ddeea590f8da988c07fe2729e924# kubeadm join 192.168.124.61:6443 --token nuja6n.o3jrhsffiqs9swnu --discovery-token-ca-cert-hash sha256:63bca849e0e01691ae14eab449570284f0c3ddeea590f8da988c07fe2729e924

kubeadm token create --print-join-command

https://kubernetes.io/docs/reference/setup-tools/kubeadm/kubeadm-join/

3.8 测试kubernetes集群

在Kubernetes集群中创建一个pod，验证是否正常运行：

[root@k8s-master ~]# kubectl get nodes
NAME         STATUS     ROLES    AGE   VERSION
k8s-master   Ready      master   18m   v1.17.0
k8s-node1    Ready      <none>   78s   v1.17.0
k8s-node2    NotReady   <none>   16s   v1.17.0

notready，稍等一会就可以了。

-n 指定命名空间

^C
[root@k8s-master ~]# kubectl get pods -n kube-system
NAME                                 READY   STATUS    RESTARTS   AGE
coredns-9d85f5447-5qh6p              1/1     Running   0          39m
coredns-9d85f5447-8dntr              1/1     Running   0          39m
etcd-k8s-master                      1/1     Running   0          39m
kube-apiserver-k8s-master            1/1     Running   0          39m
kube-controller-manager-k8s-master   1/1     Running   0          39m
kube-flannel-ds-amd64-cl9rb          1/1     Running   0          22m
kube-flannel-ds-amd64-h9wkm          1/1     Running   0          34m
kube-flannel-ds-amd64-p4bjd          1/1     Running   0          21m
kube-proxy-5jg6b                     1/1     Running   0          21m
kube-proxy-6j6l5                     1/1     Running   0          39m
kube-proxy-vbqrq                     1/1     Running   0          22m
kube-scheduler-k8s-master            1/1     Running   0          39m

[root@k8s-master ~]# kubectl get ns  查看命名空间
NAME                   STATUS   AGE
default                Active   40m
kube-node-lease        Active   40m
kube-public            Active   40m
kube-system            Active   40m
kubernetes-dashboard   Active   11m

$ kubectl create deployment nginx --image=nginx
$ kubectl expose deployment nginx --port=80 --type=NodePort
$ kubectl get pod,svc

访问地址：http://NodeIP:Port

3.9 部署 Dashboard （官方的）

可以直接使用下载好的包： dashboard.yaml

$ kubectl apply -f https://raw.githubusercontent.com/kubernetes/dashboard/v2.0.0-beta8/aio/deploy/recommended.yaml

默认Dashboard只能集群内部访问，修改Service为NodePort类型，暴露到外部：

kind: Service
apiVersion: v1
metadata:labels:k8s-app: kubernetes-dashboardname: kubernetes-dashboardnamespace: kubernetes-dashboard
spec:ports:- port: 443targetPort: 8443selector:k8s-app: kubernetes-dashboard

新生成了一个命名空间

[root@k8s-master ~]# kubectl get pods -n kubernetes-dashboard
NAME                                         READY   STATUS    RESTARTS   AGE
dashboard-metrics-scraper-76585494d8-jtsc2   1/1     Running   0          20m
kubernetes-dashboard-5996555fd8-2gdqn        1/1     Running   0          20m

[root@k8s-master ~]# kubectl -n kubernetes-dashboard get pod -o wide
NAME                                         READY   STATUS    RESTARTS   AGE   IP           NODE        NOMINATED NODE   READINESS GATES
dashboard-metrics-scraper-76585494d8-jtsc2   1/1     Running   0          33m   10.244.2.2   k8s-node2   <none>           <none>
kubernetes-dashboard-5996555fd8-2gdqn        1/1     Running   0          33m   10.244.2.3   k8s-node2   <none>           <none>

然后我们要访问：看一下service暴露的地址

[root@k8s-master ~]# kubectl get svc  -n kubernetes-dashboard
NAME                        TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)         AGE
dashboard-metrics-scraper   ClusterIP   10.96.221.63    <none>        8000/TCP        22m
kubernetes-dashboard        NodePort    10.96.253.172   <none>        443:30001/TCP   22m

访问地址：http://NodeIP:30001

注意：在没有设置证书的情况下，通过Chrome和ie内核是无法访问这个页面的，我们这里就先使用火狐来继续实验，后面补充通过更新证书来解决此问题。

生成token

创建一个create-admin.yaml文件，内容如下:

apiVersion: v1
kind: ServiceAccount
metadata:name: admin-usernamespace: kubernetes-dashboard---apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:name: admin-user
roleRef:apiGroup: rbac.authorization.k8s.iokind: ClusterRolename: cluster-admin
subjects:
- kind: ServiceAccountname: admin-usernamespace: kubernetes-dashboard

应用配置文件创建用户

[root@k8s-master ~]#  kubectl apply -f create-admin.yaml serviceaccount/admin-user created
clusterrolebinding.rbac.authorization.k8s.io/admin-user created[root@k8s-master ~]# kubectl -n kubernetes-dashboard describe secret $(kubectl -n kubernetes-dashboard get secret | grep admin-user | awk '{print $1}')

建议像我这样复制出来之后，在复制到网站上，避免因为空格导致失败

eyJhbGciOiJSUzI1NiIsImtpZCI6Img1eGp4WEx4dFgxb2pqWkpwSWxYWjN1eFBteFNWUXRLOXpwT0dDOGM4YVkifQ.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.ZwpJ5hDyxCAgb4jyiCtK8piJqLzkhxwKPUSgjZXmaHD67mfZXDFUv1Pm0G5-3UCGygnocmHrBpCKv5fuJlc_zhUGley_cM2X8gtM3n5Mt2DPJ_0HzcButYxKUnt2VsKKAEEO4eWO9cILANNFSyabN96kAEq7UfOvaQDFp0TP-zidpxnIWLR1zezsCuIMLfhp1yY89c-OIX0XEXiF8HgbGaJxqFe_s0GAcMDJsVki-e0EqtNvLg5qMHD6YeXApeVzO4ZZvw1joWPdVr9utCIICe6MqCXdSiC2f4IJEB8Pn6-y8Xyapsjk23ZXh4ljYzASO0igwJ_G3YOhESjajWICyQ

创建service account并绑定默认cluster-admin管理员集群角色：

kubectl create serviceaccount dashboard-admin -n kube-system
kubectl create clusterrolebinding dashboard-admin --clusterrole=cluster-admin --serviceaccount=kube-system:dashboard-admin
kubectl describe secrets -n kube-system $(kubectl -n kube-system get secret | awk '/dashboard-admin/{print $1}')

使用输出的token登录Dashboard。

第4章：kubectl命令行管理工具

kubectl --help 查看帮助信息

kubectl create --help 查看create命令帮助信息

命令	描述
create	通过文件名或标准输入创建资源
expose	将一个资源公开为一个新的Service
run	在集群中运行一个特定的镜像
set	在对象上设置特定的功能
get	显示一个或多个资源
explain	文档参考资料
edit	使用默认的编辑器编辑一个资源。
delete	通过文件名、标准输入、资源名称或标签选择器来删除资源。
rollout	管理资源的发布
rolling-update	对给定的复制控制器滚动更新
scale	扩容或缩容Pod数量，Deployment、ReplicaSet、RC或Job
autoscale	创建一个自动选择扩容或缩容并设置Pod数量
certificate	修改证书资源
cluster-info	显示集群信息
top	显示资源（CPU/Memory/Storage）使用。需要Heapster运行
cordon	标记节点不可调度
uncordon	标记节点可调度
drain	驱逐节点上的应用，准备下线维护
taint	修改节点taint标记
describe	显示特定资源或资源组的详细信息
logs	在一个Pod中打印一个容器日志。如果Pod只有一个容器，容器名称是可选的
attach	附加到一个运行的容器
exec	执行命令到容器
port-forward	转发一个或多个本地端口到一个pod
proxy	运行一个proxy到Kubernetes API server
cp	拷贝文件或目录到容器中
auth	检查授权
apply	通过文件名或标准输入对资源应用配置
patch	使用补丁修改、更新资源的字段
replace	通过文件名或标准输入替换一个资源
convert	不同的API版本之间转换配置文件
label	更新资源上的标签
annotate	更新资源上的注释
completion	用于实现kubectl工具自动补全
api-versions	打印受支持的API版本
config	修改kubeconfig文件（用于访问API，比如配置认证信息）
help	所有命令帮助
plugin	运行一个命令行插件
version	打印客户端和服务版本信息

使用kubectl管理应用生命周期

1、创建
kubectl create deployment web --image=lizhenliang/java-demo 
kubectl get deploy,pods2、发布
kubectl expose deployment web --port=80 --type=NodePort --target-port=80 --name=web
kubectl get service3、升级
kubectl set image deployment/web nginx=nginx:1.15
kubectl rollout status deployment/nginx-deployment  # 查看升级状态4、回滚
kubectl rollout history deployment/web  # 查看发布记录
kubectl rollout undo deployment/web   # 回滚最新版本
kubectl rollout undo deployment/web --revision=2  # 回滚指定版本5、删除
kubectl delete deploy/web
kubectl delete svc/web

第5章：资源编排（YAML）

5.1 编写YAML注意事项

YAML 是一种简洁的非标记语言。

语法格式：

缩进表示层级关系
不支持制表符“tab”缩进，使用空格缩进
通常开头缩进 2 个空格
字符后缩进 1 个空格，如冒号、逗号等
“---” 表示YAML格式，一个文件的开始
“#”注释

5.2 YAML内容解析

在K8S部署一个应用的YAML内容大致分为两部分：

控制器定义：定义控制器属性

被控制对象：Pod模板，定义容器属性

具体字段意义：

apiVersion	API版本
kind	资源类型
metadata	资源元数据
spec	资源规格
replicas	副本数量
selector	标签选择器
template	Pod模板
metadata	Pod元数据
spec	Pod规格
containers	容器配置

5.3 资源字段太多，记不住怎么办？

很多同学YAML不会写！主要原因还是用的少，里面都是由于各个资源组成，熟悉了每个资源应用，自然就会写了，但也不用等到熟悉各种资源，这里教你几个技巧，帮助快速上手。

用run命令生成部署模板

kubectl create deployment nginx --image=nginx:1.14 -o yaml --dry-run> my-deploy.yaml
用get命令将已有部署的应用yaml导出

kubectl get my-deploy/nginx -o=yaml --export > my-deploy.yaml
如果某个字段单词不记得了，可以通过explain查看更详细的帮助文档获得

kubectl explain pods.spec.containers

第6章：深入理解Pod对象

Pod是最小的部署单元，也是后面经常配置的地方，本章节带你熟悉Pod中常见资源配置及参数。

也就是YAML这部分：

  ...template:metadata:labels:app: webspec:containers:- image: lizhenliang/java-demo:latestimagePullPolicy: Alwaysname: java

6.1 Pod介绍

最小部署单元
一组容器的集合
一个Pod中的容器共享网络命名空间
Pod是短暂的

6.2 Pod存在的意义

Pod为亲密性应用而存在。

亲密性应用场景：

两个应用之间发生文件交互
两个应用需要通过127.0.0.1或者socket通信
两个应用需要发生频繁的调用

6.3 Pod实现机制与设计模式

Pod本身是一个逻辑概念，没有具体存在，那究竟是怎么实现的呢？

众所周知，容器之间是通过Namespace隔离的，Pod要想解决上述应用场景，那么就要让Pod里的容器之间高效共享。

具体分为两个部分：网络和存储

共享网络

kubernetes的解法是这样的：会在每个Pod里先启动一个infra container小容器，然后让其他的容器连接进来这个网络命名空间，然后其他容器看到的网络试图就完全一样了，即网络设备、IP地址、Mac地址等，这就是解决网络共享问题。在Pod的IP地址就是infra container的IP地址。

共享存储

比如有两个容器，一个是nginx，另一个是普通的容器，普通容器要想访问nginx里的文件，就需要nginx容器将共享目录通过volume挂载出来，然后让普通容器挂载的这个volume，最后大家看到这个共享目录的内容一样。

例如：

# pod.yaml
apiVersion: v1
kind: Pod
metadata:name: my-pod
spec:containers:- name: writeimage: centoscommand: ["bash","-c","for i in {1..100};do echo $i >> /data/hello;sleep 1;done"]volumeMounts:- name: datamountPath: /data- name: readimage: centoscommand: ["bash","-c","tail -f /data/hello"]volumeMounts:- name: datamountPath: /datavolumes:- name: dataemptyDir: {}

上述示例中有两个容器，write容器负责提供数据，read消费数据，通过数据卷将写入数据的目录和读取数据的目录都放到了该卷中，这样每个容器都能看到该目录。

验证：

kubectl apply -f pod.yaml
kubectl logs my-pod -c read -f

在Pod中容器分为以下几个类型：

Infrastructure Container：基础容器，维护整个Pod网络空间，对用户不可见
InitContainers：初始化容器，先于业务容器开始执行，一般用于业务容器的初始化工作
Containers：业务容器，具体跑应用程序的镜像

6.4 镜像拉取策略

apiVersion: v1
kind: Pod
metadata:name: my-pod
spec:containers:- name: javaimage: lizhenliang/java-demoimagePullPolicy: IfNotPresent

imagePullPolicy 字段有三个可选值：

IfNotPresent：默认值，镜像在宿主机上不存在时才拉取
Always：每次创建 Pod 都会重新拉取一次镜像
Never： Pod 永远不会主动拉取这个镜像

如果拉取公开的镜像，直接按照上述示例即可，但要拉取私有的镜像，是必须认证镜像仓库才可以，即docker login，而在K8S集群中会有多个Node，显然这种方式是很不放方便的！为了解决这个问题，K8s 实现了自动拉取镜像的功能。以secret方式保存到K8S中，然后传给kubelet。

apiVersion: v1
kind: Pod
metadata:name: my-pod
spec:imagePullSecrets:- name: myregistrykeycontainers:- name: javaimage: lizhenliang/java-demoimagePullPolicy: IfNotPresent

上述中名为 myregistrykey 的secret是由kubectl create secret docker-registry命令创建：

 kubectl create secret docker-registry myregistrykey --docker-username=admin --docker-password=Harbor12345 --docker-email=admin@harbor.com --docker-server=192.168.31.70

--docker-server: 指定docke仓库地址 --docker-username: 指定docker仓库账号 --docker-password: 指定docker仓库密码 --docker-email: 指定邮件地址(选填)

6.5 资源限制

Pod资源配额有两种：

申请配额：调度时使用，参考是否有节点满足该配置

spec.containers[].resources.limits.cpu

spec.containers[].resources.limits.memory
限制配额：容器能使用的最大配置

spec.containers[].resources.requests.cpu

spec.containers[].resources.requests.memory

示例：

apiVersion: v1
kind: Pod
metadata:name: web
spec:containers:- name: javaimage: lizhenliang/java-demoresources:requests:memory: "64Mi"cpu: "250m"limits:memory: "128Mi"cpu: "500m"

其中cpu值比较抽象，可以这么理解：

1核=1000m

1.5核=1500m

那上面限制配置就是1核的二分之一（500m），即该容器最大使用半核CPU。

该值也可以写成浮点数，更容易理解：

半核=0.5

1核=1

1.5核=1.5

6.6 重启策略

apiVersion: v1
kind: Pod
metadata:name: my-pod
spec:containers:- name: javaimage: lizhenliang/java-demorestartPolicy: Always

restartPolicy字段有三个可选值：

Always：当容器终止退出后，总是重启容器，默认策略。
OnFailure：当容器异常退出（退出状态码非0）时，才重启容器。适于job
Never：当容器终止退出，从不重启容器。适于job

6.7 健康检查

默认情况下，kubelet 根据容器状态作为健康依据，但不能容器中应用程序状态，例如程序假死。这就会导致无法提供服务，丢失流量。因此引入健康检查机制确保容器健康存活。

健康检查有两种类型：

livenessProbe

如果检查失败，将杀死容器，根据Pod的restartPolicy来操作。
readinessProbe

如果检查失败，Kubernetes会把Pod从service endpoints中剔除。

这两种类型支持三种检查方法：

Probe支持以下三种检查方法：

httpGet

发送HTTP请求，返回200-400范围状态码为成功。
exec

执行Shell命令返回状态码是0为成功。
tcpSocket

发起TCP Socket建立成功。

示例：

apiVersion: v1
kind: Pod
metadata:labels:test: livenessname: liveness-exec
spec:containers:- name: livenessimage: busyboxargs:- /bin/sh- -c- touch /tmp/healthy; sleep 30; rm -rf /tmp/healthy; sleep 60livenessProbe:exec:command:- cat- /tmp/healthyinitialDelaySeconds: 5periodSeconds: 5

上述示例：启动容器第一件事创建文件，停止30s，删除该文件，再停止60s，确保容器还在运行中。

验证现象：容器启动正常，30s后异常，会restartPolicy策略自动重建，容器继续正常，反复现象。

6.8 调度策略

先看下创建一个Pod的工作流程： create pod -> apiserver -> write etcd -> scheduler -> bind pod to node -> write etcd -> kubelet( apiserver get pod) -> dcoekr api,create container -> apiserver -> update pod status to etcd -> kubectl get pods

Pod根据调度器默认算法将Pod分配到合适的节点上，一般是比较空闲的节点。但有些情况我们希望将Pod分配到指定节点，该怎么做呢？

这里给你介绍调度策略：nodeName、nodeSelector和污点

1、nodeName

nodeName用于将Pod调度到指定的Node名称上。

例如：下面示例会绕过调度系统，直接分配到k8s-node1节点。

apiVersion: v1
kind: Pod
metadata:labels:run: busyboxname: busyboxnamespace: default
spec:nodeName: k8s-node1containers:- image: busyboxname: bscommand:- "ping"- "baidu.com"

2、nodeSelector

nodeSelector用于将Pod调度到匹配Label的Node上。

先给规划node用途，然后打标签，例如将两台node划分给不同团队使用：

kubectl label nodes k8s-node1 team=a
kubectl label nodes k8s-node2 team=b

然后在创建Pod只会被调度到含有team=a标签的节点上。

apiVersion: v1
kind: Pod
metadata:name: busyboxnamespace: default
spec:nodeSelector: team: bcontainers:- image: busyboxname: bscommand:- "ping"- "baidu.com"

3、taint（污点）与tolerations（容忍）

污点应用场景：节点独占，例如具有特殊硬件设备的节点，如GPU

设置污点命令：

kubectl taint node [node] key=value[effect]

其中[effect] 可取值：

NoSchedule ：一定不能被调度。
PreferNoSchedule：尽量不要调度。
NoExecute：不仅不会调度，还会驱逐Node上已有的Pod。

示例：

先给节点设置污点，说明这个节点不是谁都可以调度过来的：

kubectl taint node k8s-node1  abc=123:NoSchedule

查看污点：

kubectl describe node k8s-node1 |grep Taints

然后在创建Pod只有声明了容忍污点（tolerations），才允许被调度到abc=123污点节点上。

apiVersion: v1
kind: Pod
metadata:labels:run: busyboxname: busybox3namespace: default
spec:tolerations:- key: "abc"operator: "Equal"value: "123"effect: "NoSchedule"containers:- image: busyboxname: bscommand:- "ping"- "baidu.com"

如果不配置容忍污点，则永远不会调度到k8s-node1。

去掉污点：

kubectl taint node [node] key:[effect]-
kubectl taint node k8s-node1 abc:NoSchedule-

6.9 故障排查

# 查看事件，可用于大部分资源
kubectl describe TYPE/NAME    
# 如果pod启动失败，先查看日志
kubectl logs TYPE/NAME [-c CONTAINER]  
# 进入到容器中debug
kubectl exec POD [-c CONTAINER] -- COMMAND [args...]

第7章：深入理解常用控制器

7.1 Pod与controller的关系

controllers：在集群上管理和运行容器的对象。有时也称为工作负载（workload）
通过label-selector相关联，如下图所示。
Pod通过控制器实现应用的运维，如伸缩，滚动升级等

7.2 无状态应用部署控制器 Deployment

Deployment功能：

部署无状态应用（无状态应用简单来讲，就是Pod可以漂移任意节点，而不用考虑数据和IP变化）
管理Pod和ReplicaSet（副本数量管理控制器）
具有上线部署、副本设定、滚动升级、回滚等功能
提供声明式更新，例如只更新一个新的Image

应用场景：Web服务，微服务

下图是Deployment 标准YAML，通过标签与Pod关联。

使用YAML部署一个java应用：

apiVersion: apps/v1
kind: Deployment
metadata:name: web
spec:replicas: 3    # 设置3个副本selector:matchLabels:app: webtemplate:metadata:labels:app: webspec:containers:- image: lizhenliang/java-demoname: java

将这个java应用暴露到集群外部访问：

apiVersion: v1
kind: Service
metadata:labels:app: webname: web
spec:ports:- port: 80             # 集群内容访问应用端口protocol: TCPtargetPort: 8080     # 容器镜像端口nodePort: 30008      # 对外暴露的端口selector:app: webtype: NodePort

查看资源：

kubectl get pods,svc
NAME                       READY   STATUS    RESTARTS   AGE
pod/web-7f9c858899-dcqwb   1/1     Running   0          18s
pod/web-7f9c858899-q26bj   1/1     Running   0          18s
pod/web-7f9c858899-wg287   1/1     Running   0          48sNAME                 TYPE        CLUSTER-IP    EXTERNAL-IP   PORT(S)        AGE
service/kubernetes   ClusterIP   10.1.0.1      <none>        443/TCP        5m55s
service/web          NodePort    10.1.157.27   <none>        80:30008/TCP   48s

浏览器输入：http://NodeIP:30008 即可访问到该应用。

升级项目，即更新最新镜像版本，这里换一个nginx镜像为例：
kubectl set image deployment/web nginx=nginx:1.15
kubectl rollout status deployment/web # 查看升级状态如果该版本发布失败想回滚到上一个版本可以执行：
kubectl rollout undo deployment/web   # 回滚最新版本也可以回滚到指定发布记录：
kubectl rollout history deployment/web  # 查看发布记录
kubectl rollout undo deployment/web --revision=2  # 回滚指定版本扩容/缩容：
kubectl scale deployment nginx-deployment --replicas=5 
--replicas设置比现在值大就是扩容，反之就是缩容。

kubectl set image 会触发滚动更新，即分批升级Pod。

滚动更新原理其实很简单，利用新旧两个replicaset，例如副本是3个，首先Scale Up增加新RS副本数量为1，准备就绪后，Scale Down减少旧RS副本数量为2，以此类推，逐渐替代，最终旧RS副本数量为0，新RS副本数量为3，完成本次更新。这个过程可通过kubectl describe deployment web看到。

7.3 守护进程控制器 DaemonSet

DaemonSet功能：

在每一个Node上运行一个Pod
新加入的Node也同样会自动运行一个Pod

应用场景：Agent，例如监控采集工具，日志采集工具

7.4 批处理 Job & CronJob

Job：一次性执行

应用场景：离线数据处理，视频解码等业务

apiVersion: batch/v1
kind: Job
metadata:name: pi
spec:template:spec:containers:- name: piimage: perlcommand: ["perl",  "-Mbignum=bpi", "-wle", "print bpi(2000)"]restartPolicy: Never   # 作业失败后会不再尝试创建新的PodbackoffLimit: 4   # .spec.backoffLimit字段限制重试次数。默认情况下，这个字段默认值是6。

上述示例中将π计算到2000个位置并将其打印出来。完成大约需要10秒。

查看任务：

kubectl get pods,job

CronJob：定时任务，像Linux的Crontab一样。

应用场景：通知，备份

apiVersion: batch/v1beta1
kind: CronJob
metadata:name: hello
spec:schedule: "*/1 * * * *"jobTemplate:spec:template:spec:containers:- name: helloimage: busyboxargs:- /bin/sh- -c- date; echo Hello from the Kubernetes clusterrestartPolicy: OnFailure  # 作业失败并返回状态码非0时，尝试创建新的Pod运行任务

上述示例中将每分钟打印一次Hello。